Wat kunnen aanvallers daadwerkelijk zien over je bedrijf?
Je externe aanvalsoppervlak is alles van je bedrijf dat bereikbaar is vanaf het openbare internet: elk domein, elke server, inlogpagina, mail-record en gelekt wachtwoord dat een aanvaller kan vinden zonder ooit je kantoor of je laptops aan te raken. Het is de kaart die een aanvaller tekent voordat hij iets anders doet, en dit is het ongemakkelijke gedeelte: hij tekent deze meestal beter dan het bedrijf zelf, omdat de aanvaller gemotiveerd is en het bedrijf het druk heeft.
Wij besteden ons werkzame leven aan het tekenen van die kaart vanuit het perspectief van de aanvaller. Dit is wat er doorgaans op staat, in duidelijke taal, voor een oprichter of CTO die nog nooit een beveiligingstest heeft gekocht.
Subdomeinen waarvan je vergeten was dat ze bestonden
Je hoofdsite is www.yourcompany.com. Maar door de jaren heen heeft het bedrijf ook staging.yourcompany.com, old-demo.yourcompany.com, een microsite voor een campagne in 2022, en een dashboard dat een externe leverancier heeft ingericht. Deze zijn allemaal openbaar vindbaar. Certificate Transparency-logs, een openbaar register van elk TLS-certificaat dat ooit is uitgegeven, stellen iedereen in staat om de subdomeinen op te vragen waarvoor je certificaten hebt aangevraagd, met behulp van gratis tools zoals crt.sh. Er komt geen hacking bij kijken; het is gewoon een zoekopdracht.
Waarom dit belangrijk is: vergeten subdomeinen draaien vergeten software. Een staging-server met een niet-gepatcht framework van vorig jaar, of een demo-instantie met een standaardwachtwoord, is een echte ingang. Erger nog: als een subdomein nog steeds naar een cloud-dienst wijst waar je niet meer voor betaalt, kan een aanvaller die dienst soms claimen en zijn eigen inhoud serveren vanaf jouw domein. In de sector noemen we dit een subdomain takeover, en het komt voor bij bedrijven van elke omvang.
Diensten die nooit openbaar hadden mogen zijn
Er bestaan zoekmachines voor apparaten die met het internet zijn verbonden. Shodan, de bekendste daarvan, indexeert continu wat er luistert op het openbare internet: databases, beheerderspanelen, remote desktop, webcams, printers. Als je team ooit "slechts voor een week" een database heeft opengesteld om iets te debuggen, of een buildserver, of een intern dashboard, dan is dat vindbaar voor iedereen met een zoekbalk.
De meest voorkomende boosdoeners die we zien: databasepoorten die openstaan voor de hele wereld, remote desktop of SSH op machines die niemand zich meer herinnert, beheerinterfaces voor routers en firewalls, en CI/CD- of monitoringtools met zwakke of standaard inloggegevens. Geen van deze beslissingen is bewust genomen. Het zijn restjes, en restjes zijn precies waar aanvallers van leven.
Je wachtwoorden, afkomstig uit datalekken van anderen
Wanneer een dienst van derden gecompromitteerd raakt, komen de e-mailadressen en wachtwoorden daarin terecht in openbare en halfopenbare dumps. Aanvallers verzamelen deze en proberen ze overal uit, gokkend dat mensen wachtwoorden hergebruiken. Die gok betaalt zich uit.
Je kunt een deel van je eigen blootstelling nu al bekijken: Have I Been Pwned, een gratis openbare dienst, laat je controleren welke datalekken adressen op jouw domein bevatten. Als een medewerker zijn werk-email en een hergebruikt wachtwoord heeft gebruikt om zich aan te melden voor een tool die later gelekt is, kan die combinatie vandaag de dag je daadwerkelijke systemen openen. Dit is niet exotisch. Het hergebruiken van inloggegevens uit oude datalekken is een van de meest voorkomende manieren waarop echte inbraken beginnen, en er is helemaal geen technische kennis voor nodig.
Mail- en DNS-instellingen waarmee mensen zich als jou kunnen voordoen
E-mail heeft drie beschermende records, SPF, DKIM en DMARC, die de wereld vertellen welke servers mail mogen versturen namens jouw domein en wat er moet gebeuren met mail die niet door de controle komt. Het zijn openbare DNS-records, dus een aanvaller controleert ze in enkele seconden. Als DMARC ontbreekt of zo is ingesteld dat het niets doet, kan mail die jouw domein perfect vervalst in inboxen terechtkomen.
De aanval die dit mogelijk maakt is van een moedeloos makende eenvoud: een e-mail van wat je CEO of je facturatieadres lijkt te zijn, gestuurd naar je klant of je eigen financiële medewerker, met het verzoek om betalingsgegevens te wijzigen. Er is geen systeem gehackt. Je identiteit is gewoon geleend, omdat een DNS-record nooit is ingesteld.
Wat dit in de praktijk betekent
Let op wat al deze vier categorieën gemeen hebben. Voor geen ervan hoeft er iets gebroken te worden. Het zijn observaties, gedaan op basis van openbare gegevens, over dingen die je bedrijf op het internet heeft geplaatst en niet meer in de gaten houdt. Dat is waarom "wat kunnen aanvallers over ons zien" een betere eerste beveiligingsvraag is dan "kunnen we gehackt worden". De tweede is speculatief. De eerste heeft een concreet, controleerbaar antwoord.
Als je zelf wilt beginnen, kan dat: zoek je subdomeinen op via Certificate Transparency, zoek je domeinen op via Shodan, controleer je domein op Have I Been Pwned en lees je eigen SPF- en DMARC-records uit. Je zult er zeker iets van leren, en elk van die stappen is gratis.
Waar wij in beeld komen
Het lastige gedeelte is niet het uitvoeren van de zoekopdrachten. Het is weten welke van de tweehonderd resultaten er toe doen, welke de daadwerkelijke ingang is en welke ruis zijn. Dat vereist beoordelingsvermogen, en beoordelingsvermogen is wat je koopt wanneer je mensen inhuurt die voor hun beroep systemen aanvallen.
Onze check voor $100 is precies deze oefening, maar dan goed uitgevoerd: een gerichte blik op je externe aanvalsoppervlak, binnen een scope waarvan je schriftelijk hebt bevestigd en gemachtigd dat deze van jou is, beoordeeld door een senior operator, geleverd als een gerangschikt rapport en een toelichting van 30 minuten waarin een mens je vragen beantwoordt. Het zal je beveiliging niet in één keer oplossen. Het maakt wel een einde aan het gissen naar wat een aanvaller ziet, en dat is het juiste punt om te beginnen.
Extern aanvalsoppervlak: snelle antwoorden
Wat is een extern aanvalsoppervlak?
Alles van je bedrijf dat bereikbaar is vanaf het openbare internet: elk domein, elke server, inlogpagina, mail-record en gelekt wachtwoord dat een aanvaller kan vinden zonder je kantoor of je laptops aan te raken. Het is de kaart die een aanvaller als eerste tekent.
Hoe vinden aanvallers subdomeinen die ik vergeten was?
Voornamelijk via Certificate Transparency-logs, een openbaar register van elk TLS-certificaat dat ooit is uitgegeven. Gratis tools zoals crt.sh stellen iedereen in staat om de subdomeinen op te vragen waarvoor je certificaten hebt aangevraagd. Het is een zoekopdracht, geen hacking.
Kan ik mijn eigen externe aanvalsoppervlak gratis controleren?
Gedeeltelijk. Zoek subdomeinen op via Certificate Transparency, zoek je domeinen op via Shodan, controleer je domein op Have I Been Pwned en lees je eigen SPF- en DMARC-records uit. Het lastige gedeelte is niet het uitvoeren van de zoekopdrachten, maar weten welke resultaten er daadwerkelijk toe doen.
Wat is een subdomain takeover?
Wanneer een subdomein nog steeds naar een cloud-dienst wijst waar je niet meer voor betaalt, kan een aanvaller die dienst soms claimen en zijn eigen inhoud serveren vanaf jouw domein. Het is het rechtstreekse gevolg van een vergeten DNS-record en het komt voor bij bedrijven van elke omvang.
Gerelateerde artikelen
- Hoe kwetsbaar zijn de top 1.000 domeinen voor e-mailspoofing? Onze eigen meting van wie DMARC daadwerkelijk afdwingt.
- Wat kost een penetratietest?
- Check, scan of volledige pentest?
Zie je aanvalsoppervlak, op de juiste manier.
Onze check voor $100 maakt een einde aan het gissen naar wat een aanvaller van buitenaf ziet, met een senior operator bij de toelichting. Het is het juiste punt om te beginnen.
Boek een check voor $100